nLPD et IA : quelles obligations pour les entreprises suisses ?

La nLPD en bref : champ, portée et amendes

La nLPD a remplacé la loi de 1992 et rapproché la Suisse du niveau de protection européen, sans être identique au RGPD. Elle ne protège plus que les données des personnes physiques ; celles des personnes morales ne sont plus couvertes. Pour l'IA, l'essentiel : dès qu'un modèle ou un outil traite des données personnelles, les obligations s'appliquent, que le fournisseur soit à Zurich, Dublin ou en Californie.

• Effet extraterritorial : la nLPD couvre aussi les traitements à l'étranger ayant un effet en Suisse.
• Surveillance : le PFPDT (Préposé fédéral à la protection des données et à la transparence) contrôle et peut ouvrir des enquêtes.
• Sanctions : les amendes jusqu'à 250'000 francs visent en principe les personnes physiques responsables, et non d'abord l'entreprise - contrairement au RGPD.

Données sensibles et IA

La nLPD définit les données sensibles, dont le traitement impose des exigences renforcées - consentement explicite ou analyse d'impact, par exemple. Ces catégories reviennent souvent dans les projets d'IA : chatbots santé, reconnaissance biométrique du visage ou de la voix, tri de CV ou modèles de scoring de crédit. Quiconque alimente un système d'IA avec de telles données doit clarifier au préalable la base légale et les mesures de protection.

• Catégories couvertes : opinions et activités religieuses, idéologiques, politiques ou syndicales ; santé, sphère intime, origine raciale ou ethnique.
• Données génétiques et biométriques identifiant une personne de manière univoque - très pertinentes pour les systèmes de reconnaissance par IA.
• Données sur les poursuites et sanctions administratives ou pénales, et sur les mesures d'aide sociale.

Obligations clés lors du recours à l'IA

• Respecter les principes : licéité, bonne foi, proportionnalité, limitation de la finalité, transparence et exactitude - y compris pour les données d'entraînement et d'entrée.
• Devoir d'information : les personnes concernées doivent être informées clairement de la collecte des données et du recours à l'IA.
• Analyse d'impact (AIPD) en cas de risque élevé probable - technologies nouvelles, traitement étendu de données sensibles ou surveillance systématique ; si un risque résiduel élevé subsiste, le PFPDT doit être consulté.
• Tenir un registre des activités de traitement ; les PME de moins de 250 employés à faible risque en sont partiellement dispensées.
• Intégrer le privacy by design et des paramètres par défaut protecteurs dès la conception des systèmes d'IA.
• Garantir la sécurité des données et notifier les violations au PFPDT dans les meilleurs délais en cas de risque élevé pour les personnes.

Décisions individuelles automatisées et profilage à risque élevé

Si un système d'IA prend une décision reposant exclusivement sur un traitement automatisé produisant un effet juridique ou affectant sensiblement la personne - refus de crédit, présélection automatique de candidats ou classification tarifaire -, l'entreprise doit en informer la personne concernée. Celle-ci peut demander qu'une personne physique réexamine la décision et faire valoir son point de vue. Des exceptions existent, notamment lorsque la décision est liée à un contrat et que la demande est acceptée, ou en cas de consentement.

• Le profilage à risque élevé - une évaluation étendue de traits essentiels de la personnalité - peut exiger un consentement explicite.
• Documentez quand un humain réexamine la décision de l'IA (human-in-the-loop) et comment les personnes peuvent s'y opposer.

Transferts à l'étranger : recourir correctement aux fournisseurs d'IA

De nombreux services d'IA fonctionnent sur des serveurs hors de Suisse. Un transfert à l'étranger est licite si l'État destinataire figure sur la liste d'adéquation du Conseil fédéral. À défaut d'un niveau de protection adéquat, des garanties appropriées sont requises - clauses contractuelles types, règles d'entreprise contraignantes ou, dans des limites étroites, le consentement. Pour les fournisseurs américains, il faut en outre vérifier le cadre applicable (Swiss-US Data Privacy Framework).

• Vérifiez les contrats de sous-traitance : le fournisseur d'IA ne traite les données que sur instruction et avec une sécurité suffisante.
• Envisagez des alternatives souveraines : un hébergement suisse ou UE et des modèles ouverts comme Apertus (ETH Zurich, EPFL, CSCS) peuvent réduire les transferts à l'étranger.

nLPD, RGPD et EU AI Act : comment ils s'articulent

Les entreprises suisses relèvent de la nLPD, mais peuvent aussi tomber sous le RGPD si elles ciblent des personnes dans l'UE. L'EU AI Act encadre l'IA comme un produit selon des classes de risque et s'applique lui aussi de façon extraterritoriale - il peut jouer lorsque des résultats d'IA sont utilisés dans l'UE. Les trois cadres se complètent : la nLPD traite la protection des données, l'EU AI Act la sécurité et la gouvernance du système d'IA.

• Objet de protection : nLPD - données des personnes physiques ; EU AI Act - sécurité et droits fondamentaux autour du système d'IA.
• Logique de sanction : nLPD - amendes contre les personnes responsables jusqu'à 250'000 francs ; RGPD - amendes d'entreprise jusqu'à un pourcentage du chiffre d'affaires.
• En pratique : un cadre de gouvernance commun couvre protection des données et risque IA plus efficacement que des projets séparés.

Check-list pratique pour les entreprises suisses

• Recensez tous les outils d'IA et les données personnelles traitées, y compris les prompts et documents téléversés.
• Établissez une politique interne d'usage de l'IA : ce qui peut être saisi ou non (données sensibles, secrets d'affaires).
• Mettez à jour votre déclaration de confidentialité, votre registre des traitements et vos contrats de sous-traitance pour l'IA.
• Réalisez tôt une AIPD pour les projets d'IA à risque et prévoyez un human-in-the-loop pour les décisions automatisées.
• Remarque : cet article est une orientation générale et ne remplace pas un conseil juridique individuel.